Raadsvoorstel Programma Informatiebeveiliging 20241015

Raadsvoorstel Pag. 1/4

Datum vergadering Omschrijving agendapunt Portefeuillehouder

7 november 2024 Kennisnemen van het Programmaplan Informatiebeveiliging (NIS2) en instemmen met het beschikbaar stellen van het benodigde budget Burgemeester mr. M.M.D. Vermue

Samenvatting De gemeente Sluis dient voor informatiebeveiliging te voldoen aan de Europese Richtlijn NIS2. Deze borduurt voort op de Baseline Informatievoorziening Overheid (BIO) waarmee overheden nu werken. De NIS2 gaat echter een stap verder, en stelt hogere eisen aan de cyberveiligheid en weerbaarheid van overheden. NIS2 heeft daarmee voor alle overheden veel impact. In Zeeland trekken wij hiervoor zo veel mogelijk samen op. Sluis heeft in deze een actieve rol, als trekker van het programma Informatiebeveiliging in het programma Zeeuwse Norm Weerbare Overheid. Om als gemeente Sluis op een haalbare manier aan deze eisen te kunnen voldoen, is een programmaplan opgesteld. Hierin staan onder andere de aanvliegroute (roadmap), de projecten, de benodigde (extra) middelen, de kosten en investeringen. Tevens bevat het de programmabeheersing, risico’s, kwaliteitsborging en communicatie. In aanloop naar het programmaplan bent u meegenomen in de NIS2 ontwikkelingen en wat dit betekent voor gemeente Sluis tijdens de commissievergadering Samenleving en Middelen op 26 maart en de commissie vergadering Ruimte en Algemeen Bestuur op 3 september j.l. Beide presentaties zijn bijgevoegd, (bijlage a en b). Wij bieden u dit programmaplan ter kennisname aan en vragen u het budget beschikbaar te stellen om tot uitvoering te kunnen overgaan (budgetrecht).

Waar logisch en mogelijk koppelen we de NIS2 uitvoering aan acties die wij in de reguliere bedrijfsvoering op hebben staan (zoals cloud- en beheerkosten). Daarmee kunnen we voor de financiering deels gebruik maken van beschikbare middelen. Voor het nieuwe, extra deel van de kosten is zowel incidenteel als structureel dekking nodig. Het gaat om € 357.000 in 2024, € 781.000 in 2025 , € 286.000 in 2026 en € 50.000 in 2027 en verder,waarvoor een dekkingsvoorstel is opgenomen. Vanwege de relatie met de 2e bestuursrapportage 2024 en begroting 2025-2028 bieden wij u dit raadsvoorstel aan in dezelfde cyclus als deze beide stukken. Aan de raad, Aanleiding De Europese richtlijn NIS2 heeft als doel om de digitale weerbaarheid van overheden te verhogen. De richtlijn borduurt voort op de Baseline Informatievoorziening Overheid (BIO) waarmee overheden nu werken. De NIS2 gaat echter een stap verder, en doet onder andere uitspraken over de bestuurlijke verantwoordelijkheid (zorgplicht, meldplicht en toezicht). NIS2 heeft voor alle overheden veel impact. In Zeeland trekken wij hiervoor zo veel mogelijk samen op. Sluis heeft in deze een actieve rol, als trekker van het programma Informatiebeveiliging in het programma Zeeuwse Norm Weerbare Overheid. U bent vorig jaar en dit jaar meegenomen in de komst van deze NIS2.

Dit onder andere via informatieve raadsbijeenkomsten, de bestuursrapportages, kadernota en begroting. De meest recente presentatie vond plaats in de commissie Ruimte/AB op 3 september 2024 (bijlage b). Daarin is toegelicht dat een programmaplan wordt opgesteld om een stapsgewijze, haalbare manier aan de eisen van de NIS2 te kunnen gaan voldoen. Wij leggen dat hierbij ter kennisname aan u voor (bijlage c) en vragen u tevens om het benodigde budget beschikbaar te stellen voor de uitvoering. NIS2 De afgelopen jaren hebben wij al veel inspanning gedaan op het gebied van informatieveiligheid. De NIS2 verplicht ons om nog een stap verder te gaan. Via een continue Plan-Do-Check-Act moeten de kwaliteit en kwantiteit van de maatregelen verder geborgd worden (werkingsniveau). Ook de bestuurlijke verantwoording en de verantwoording naar stakeholders horen daar bij. De maatregelen in de NIS2 hebben verdergaande impact op de bedrijfsvoering. Om de invoering realistisch en haalbaar te maken, is een meerjarig programmaplan opgesteld. Hierin staan onder andere de aanvliegroute

Raadsvoorstel Pag. 2/4

(roadmap), de projecten, de benodigde middelen en de kosten en investeringen. Tevens bevat het de programmabeheersing, risico’s, kwaliteitsborging en communicatie. Het programmaplan werkt toe naar het voldoen aan de eisen van de NIS2. Ook wordt bereikt dat eind 2026 een ISO27001 certificeringstraject kan worden gestart. De eerste 2 jaar (2024 en 2025) is en wordt ingezet op ‘Veilig worden’ door de meest risicovolle kwetsbaardheden en aanbevelingen aan te pakken. De jaren daarna ligt de focus op ‘Veilig blijven’ door de structurele organisatie, inclusief benodigde competenties en pdca-cyclus op te zetten en duurzaam te borgen. Meer gespecificeerde informatie vindt u in het Programmaplan in bijlage c. Dekking Waar mogelijk koppelen we de NIS2 uitvoering aan acties die wij in de reguliere bedrijfsvoering op hebben staan (zoals cloud- en beheerkosten). Daarmee kunnen we voor de financiering deels gebruik maken van reeds beschikbare middelen. Er zijn echter ook nieuwe elementen, waarvoor nog geen dekking beschikbaar is. Samengevat ziet het financieel overzicht er als volgt uit:

Figuur 1: Overzicht incidentele en structurele meerjarige kosten

Zoals verwoord in dit overzicht wordt voorgesteld om voor de extra NIS2-kosten incidenteel in 2024 en in 2025 het saldo van Baten en Lasten (begrotingssaldo) aan te spreken voor respectievelijk € 282.000 en € 151.000. De positieve saldi laten dit toe. Voor 2026 wordt voorgesteld een eenmalige onttrekking van € 286.000 te doen uit de Reserve Bedrijfsvoering (nu € 772.000). Vanaf 2027 nemen wij een stelpost op in de Kadernota 2026, ongeveer € 50.000. In totaliteit van de afwegingen kan dan bezien worden hoe dit structureel in te bedden. Risico’s De NIS2 betreft Europese wetgeving. Bij het niet of niet tijdig nakomen van de richtlijn, ontstaat het risico dat de gemeente niet voldoet aan de verplichte Baseline Informatiebeveiliging Overheid (BIO) en de nieuwe eisen uit de NIS2, niet wordt voldaan aan de bestuurlijke verantwoordelijkheden voor zorgplicht, meldplicht en toezicht met als mogelijk gevolg een sanctionering van maximaal 10 miljoen euro of 2% van de jaaromzet. Maar wellicht belangrijker dan dat leidt niet uitvoeren tot concrete risico’s voor de continuïteit van de bedrijfsvoering van de gemeente én de veiligheid van haar burgers, bezoekers en personeel. In het programmaplan zelf is onder hoofdstuk 6, Programmabeheersing verwoord hoe het risicomanagement is

Raadsvoorstel Pag. 3/4

ingeregeld, welke programmarisico’s er zijn, hoe kwaliteitsborging plaatsvindt en welke stuurmiddelen er worden ingezet. Via onder andere de P&C cyclus houden wij u op de hoogte van de voortgang.

Advies Wij stellen u voor kennis te nemen van het programmaplan Informatiebeveiliging waarmee gefaseerd wordt toegewerkt naar het voldoen aan de Europese richtlijn NIS2, en met het beschikbaar stellen van de benodigde financiële middelen om tot uitvoering te kunnen overgaan.

Oostburg, 15 oktober 2024 Hoogachtend,

De secretaris,

De burgemeester,

S.I. de Kievit-Minnaert

mr. M.M.D. Vermue

Bijlage(n): a. Presentatie commissie S/M, 26 maart 2024 b. Presentatie commissie Ruimte/AB, 3 september 2024 c. Programmaplan Informatiebeveiliging

Raadsvoorstel Pag. 4/4

DE RAAD VAN DE GEMEENTE SLUIS gelezen het voorstel van het college van burgemeester en wethouders d.d. 15 oktober 2024

gelet op bovenstaande; BESLUIT: 1. Kennis te hebben genomen van het programmaplan Informatiebeveiliging gemeente Sluis. 2. Instemmen met het beschikbaar stellen van de extra benodigde financiële middelen om tot uitvoering over te kunnen gaan: a) 2024 € 357.000, te dekken uit bestaande budgetten en saldo van Baten en Lasten; b) 2025 € 781.000, te dekken uit bestaande budgetten en saldo van Baten en Lasten en Kadernota 2025; c) 2026: € 286.000 te onttrekken aan de reserve Bedrijfsvoering; d) Vanaf 2027: € 50.000 per jaar, op te nemen als stelpost in de Kadernota 2025.

Sluis, 7 november 2024 DE RAAD VOORNOEMD, De griffier,

De voorzitter,

mr. P. T. G Claeijs

mr. M. M. D. Vermue